Codifica Basic
Authorization = 'Basic ' + Base64(UTF-8(nome utente + ':' + password))
Generatore e decoder Basic Auth
Codifica nome utente e password in UTF-8 e poi in Base64 per ottenere l’header HTTP Authorization: Basic, con esempi curl e fetch pronti da incollare, oppure incolla un header Basic esistente per recuperare nome utente e password.
- Appunti
Base64 non è una cifratura: chiunque può decodificare queste credenziali. Invia l’header Basic solo in HTTPS.
Questo strumento ti è stato utile?
Come funziona questo strumento?
Questo strumento costruisce l’header HTTP `Authorization: Basic …` a partire da nome utente e password e fa anche il contrario: decodifica un header Basic per mostrare le credenziali contenute. È utile a chi sviluppa e testa un’API, un webhook o una directory protetta da .htpasswd, e a chi deve capire perché una richiesta riceve un 401.
Lo schema Basic è definito dalla RFC 7617: il client unisce nome utente, due punti e password, codifica la stringa in byte UTF-8 e poi in Base64. L’esempio della RFC, `Aladdin:open sesame`, dà `QWxhZGRpbjpvcGVuIHNlc2FtZQ==`, cioè l’header `Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==`. Lo strumento applica esattamente questo metodo e fornisce anche un comando curl e una chiamata fetch che inviano l’header.
La decodifica fa il percorso inverso: lo strumento accetta l’header completo o solo il valore Base64, lo decodifica in UTF-8 e separa nome utente e password al primo due punti. Questo dimostra che Base64 non è cifratura: chi intercetta l’header legge la password in chiaro. Basic Auth deve quindi viaggiare solo su HTTPS, e il server deve memorizzare un hash della password (bcrypt in .htpasswd, per esempio), mai il valore Base64.
Come usare questo strumento
Inserisci le credenziali
Scrivi nome utente e password: lo strumento produce il valore Base64 e l’header Authorization: Basic corrispondente.
Copia l’esempio che ti serve
Prendi l’header da solo, il comando curl o la chiamata fetch, pronti da incollare nel terminale, nel codice o nel client API.
Oppure decodifica un header
Incolla un header `Authorization: Basic …` esistente, o solo la sua parte Base64, per vedere nome utente e password che contiene.
Codifica Basic
Casi d’uso
Chiamare un’API protetta con curl o Postman
Genera l’header o il comando curl per un’API che richiede Basic Auth, come l’API di Jira Cloud con indirizzo email e token API.
Capire un 401 Unauthorized
Decodifica l’header Authorization inviato dal tuo client per verificare che nome utente, password e separatore siano quelli attesi dal server.
Configurare un webhook o un monitoraggio
Molti servizi chiedono il valore completo dell’header Authorization per chiamare un endpoint protetto: generalo senza script né terminale.
Esempi
Header Basic per un account di prova
Input
Operazione: Genera; Nome utente: Aladdin; Password: open sesameRisultato
Credenziali in Base64: QWxhZGRpbjpvcGVuIHNlc2FtZQ==; Header Authorization: Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==Consigli e buone pratiche
- Il nome utente non può contenere due punti: il server divide al primo «:». I due punti nella password, invece, non creano problemi.
- Con curl, `-u utente:password` genera lo stesso header; metti le credenziali tra apici singoli se la password contiene $, ! o &.
- Un header Basic è un segreto riutilizzabile così com’è: non incollarlo in un ticket, in un log o in uno screenshot condiviso.
Fonti e riferimenti
- J. Reschke, RFC 7617 — The Basic HTTP Authentication Scheme (si apre in una nuova scheda), RFC Editor, 2015Pagina in inglese
- S. Josefsson, RFC 4648 — The Base16, Base32, and Base64 Data Encodings (si apre in una nuova scheda), RFC Editor, 2006Pagina in inglese
Domande frequenti
L’autenticazione HTTP Basic è sicura?
Da sola non offre riservatezza: Base64 si decodifica all’istante e l’header viaggia a ogni richiesta. Su HTTPS il trasporto è cifrato e Basic è accettabile per un’API interna, un ambiente di staging o uno strumento di amministrazione. Per un’applicazione pubblica meglio token (OAuth 2.0, chiavi API revocabili) e limitazione dei tentativi.
Come si decodifica un header Authorization Basic?
Togli il prefisso «Basic», decodifica il valore in Base64 e leggi il testo UTF-8 ottenuto: ciò che precede il primo due punti è il nome utente, il resto la password. Lo strumento lo fa automaticamente quando incolli l’header o il suo valore.
La password può contenere accenti o due punti?
Sì. La RFC 7617 consente al server di annunciare charset="UTF-8", e lo strumento codifica sempre in UTF-8, quindi gestisce lettere accentate ed emoji. I due punti sono ammessi nella password, ma non nel nome utente.
Che differenza c’è tra Basic e Bearer?
Basic trasmette direttamente nome utente e password, codificati in Base64. Bearer trasmette un token opaco o un JWT rilasciato da un server di autorizzazione, che può scadere o essere revocato senza cambiare la password. Entrambi usano l’header Authorization ed entrambi richiedono HTTPS.
Come ci si disconnette da Basic Auth nel browser?
Non esiste un logout standard: il browser tiene le credenziali in memoria e le reinvia per tutta la sessione. Chiudere completamente il browser, usare una finestra privata o provocare una nuova risposta 401 sono le uniche soluzioni pratiche.
È la stessa cosa di un file .htpasswd?
No. Il file .htpasswd, lato server, memorizza un hash della password (bcrypt o APR1-MD5), mentre l’header Basic, lato client, trasporta la password in chiaro codificata in Base64. Questo strumento produce l’header inviato dal client, non la voce .htpasswd.
Strumenti correlati
Continua con questi strumenti
Strumenti simili o complementari a questo.
Strumenti simili
Codifica un testo in Base64 o decodifica una stringa Base64 per recuperarne il contenuto originale.
Sicurezza e privacyIn evidenzaUsa questo strumento
Genera un comando cURL completo a partire da una richiesta HTTP.
Sicurezza e privacyUsa questo strumento
Crea header HTTP personalizzati e ottieni un output pronto da usare nelle tue richieste.
Sicurezza e privacyUsa questo strumento
Leggi anche
GuidaBuone pratichePrincipiante
Header HTTP di sicurezza: quali attivare e perché
Comprendi HSTS, Referrer-Policy, Permissions-Policy, protezioni dal framing e isolamento cross-origin prima di distribuirli.
29 agosto 20263 min
GuidaBuone pratichePrincipiante
Content Security Policy (CSP): ridurre i rischi XSS e i caricamenti indesiderati
Impara a costruire una CSP progressiva, comprenderne le direttive ed evitare policy troppo permissive o che rompono il sito.
29 agosto 20263 min
GuidaBuone praticheIntermedio
Crittografia, hashing e HMAC: capire le differenze
Scopri quando usare crittografia, hashing, HMAC o PBKDF2 per riservatezza, integrità, autenticazione e password.
23 settembre 20262 min
GuidaBuone praticheIntermedio
OAuth 2.0, PKCE, JWT, JWK e JWKS: capire i loro ruoli
Comprendi come si collegano OAuth 2.0, PKCE, JWT, JWK e JWKS: autorizzazione, token, chiavi pubbliche e verifica.
23 settembre 20262 min